Durante la mayor parte de su vida, Flash Player no fue solo un programa para jugar y ver animaciones: fue uno de los programas más ampliamente instalados del planeta, ejecutándose silenciosamente dentro de casi todos los navegadores en casi todas las computadoras. Esa ubicuidad lo convirtió en un objetivo extraordinariamente atractivo, y la larga y tensa relación del plugin con la seguridad corrió como una segunda historia por debajo de la más visible de los juegos y la animación.
Un Plugin Que Todos Tenían Instalado
Como Flash Player venía integrado en los navegadores y era requerido por gran parte de la web interactiva, alcanzó un nivel de penetración de mercado que casi ningún software logra jamás, lo que significaba que un solo fallo en el plugin podía potencialmente explotarse en una enorme porción de máquinas conectadas a internet a la vez. Los atacantes lo notaron mucho antes que la mayoría de los usuarios, y Flash se convirtió en un vector de distribución favorito precisamente porque comprometerlo significaba comprometer a casi todos.
Días Cero y la Cinta Transportadora de Parches
Adobe pasó años atrapado en un ciclo reactivo de parches de emergencia, corriendo para arreglar vulnerabilidades que a menudo ya estaban siendo explotadas en la práctica antes de que un parche saliera. Algunas de estas fallas de día cero se volvieron célebres dentro de los círculos de seguridad, citadas repetidamente en informes de incidentes y usadas como casos de estudio de por qué los plugins de navegador en general representaban una superficie de ataque tan persistente y difícil de cerrar.
Los Navegadores se Vuelven Contra Su Propio Plugin
A medida que se acumulaba el patrón de vulnerabilidades, los navegadores que alguna vez habían integrado Flash con entusiasmo comenzaron a tratarlo como un riesgo en lugar de una función, introduciendo mensajes de "clic para reproducir" que exigían la aprobación explícita del usuario antes de que el contenido Flash pudiera ejecutarse, además de un aislamiento (sandboxing) cada vez más agresivo pensado para contener cualquier cosa que el plugin hiciera mal. Lo que alguna vez había sido una parte invisible y automática de navegar por la web se convirtió lentamente en algo que los usuarios debían aceptar conscientemente, un aviso a la vez.
La Seguridad como Problema de Imagen para los Portales
Para los portales que alojaban miles de juegos Flash, cada nuevo titular sobre una vulnerabilidad de Flash era también un problema de negocio silencioso, ya que los jugadores asociaban cada vez más al propio plugin con el riesgo, y no solo a los sitios individuales que lo ejecutaban. Los portales no tenían ninguna forma real de parchear el plugin por sí mismos; todo lo que podían hacer era esperar la siguiente actualización de Adobe y confiar en que los visitantes lo mantuvieran instalado.
El Legado: Por Qué Ruffle Ejecuta Flash sin Flash Player
Esa historia de seguridad es una de las principales razones por las que los proyectos de preservación modernos evitan deliberadamente resucitar el plugin original. Herramientas como el emulador Ruffle reimplementan el comportamiento del entorno de ejecución de Flash desde cero en un lenguaje seguro en memoria, permitiendo que los juegos antiguos vuelvan a funcionar en un navegador sin instalar jamás el software cuyo historial de vulnerabilidades lo convirtió en semejante riesgo en primer lugar.